| 扫描时机 | pre-commit 本地扫描 + CI 全量扫描 |
|---|---|
| 判定 | 命中即阻断，同时通知安全负责人 |
| 处理 | 吊销并轮换密钥，评估影响后清理历史 |
| 基线 | 对历史存量建立基线，聚焦新增泄露 |
gitleaks 扫描示例
gitleaks 扫描示例
gitleaks detect --source . --redact --report-format sarif \
--report-path gitleaks.sarif发现泄露后只删代码不够：密钥已进入历史记录，必须轮换。
密钥扫描门禁
在提交与流水线两个层面扫描疑似密钥：命中即阻断并通知；常用工具包括 gitleaks、TruffleHog、GitLab Secret Detection 等。
易错点
- 只扫当前工作区：历史提交中的密钥漏检
- 扫描报告包含明文密钥：报告本身成为新的泄露面，需开启 redact
数据来源与参考
- gitleaks 项目文档
- GitLab Docs《Secret Detection》